A gravidade da situação levou a CISA a incluir a vulnerabilidade no seu catálogo de ameaças ativamente exploradas logo no início de janeiro de 2026, sinalizando um risco imediato para organizações a nível global.

A autoria dos ataques foi atribuída à botnet RondoDox, um agente malicioso conhecido pela rapidez com que adota exploits de vulnerabilidades recém-divulgadas. A telemetria da Check Point revela que a campanha evoluiu rapidamente de testes exploratórios para ataques automatizados em massa. Entre os setores mais visados estão entidades governamentais, serviços financeiros e a indústria transformadora, com os Estados Unidos, Austrália e vários países europeus, como França e Alemanha, a registarem os maiores volumes de atividade.

Tecnicamente, a vulnerabilidade reside num endpoint da API REST do HPE OneView (funcionalidade id-pools). Devido a uma falha na validação de comandos, um atacante pode injetar instruções diretamente no sistema operativo subjacente. Sem a necessidade de credenciais, a exploração desta brecha abre as portas para o controlo total dos sistemas afetados, comprometendo toda a infraestrutura de gestão de dados e recursos das organizações atingidas.

Bruno Duarte, Security Engineer Team Leader da Check Point Research, destaca que este é um "cenário clássico de exploração acelerada", onde o curto intervalo entre a divulgação pública da falha (dezembro de 2025) e os ataques em massa reforça a necessidade de defesas preventivas. A Check Point reagiu de imediato, lançando proteções de emergência para os seus sistemas de Prevenção de Intrusões (IPS) na gama Quantum, bloqueando automaticamente estas tentativas de intrusão.

A recomendação urgente para os administradores de sistemas é a aplicação imediata dos patches de segurança disponibilizados pela Hewlett Packard Enterprise. Para além da atualização, a Check Point sugere a verificação de controlos compensatórios, especialmente em servidores expostos diretamente à Internet. Os clientes da Check Point com IPS atualizado encontram-se protegidos, beneficiando da defesa automática que cobre o "intervalo crítico" entre a descoberta da falha e a correção definitiva do software.